Der Buchungsdienstleister Secra Bookings ist Ziel eines Cyberangriffs geworden. Unbefugte haben Daten aus den Systemen des Unternehmens entwendet. Darunter könnten persönliche Informationen von Urlaubern und Vermietern sein, einschließlich Bankverbindungen und Zugangscodes für Ferienunterkünfte. Betroffen sind unter anderem Angebote in Schleswig-Holstein. Wie viele Menschen von dem Vorfall betroffen sind, steht noch nicht fest.
Der Cyberangriff auf Secra Bookings wurde nach Angaben des Unternehmens am 23. Oktober 2026 entdeckt. Während des unbefugten Zugriffs seien Daten aus den Systemen exportiert worden, darunter Informationen, die Secra im Auftrag von Geschäftspartnern verarbeitet. Der Softwareanbieter mit Sitz in Sierksdorf in Schleswig-Holstein habe daraufhin die betroffenen Systeme abgesichert, externe Sicherheitsexperten eingeschaltet und die zuständige Datenschutzaufsicht informiert.
Secra gehört zum Ferienunterkunftskonzern HomeToGo. Dieser bestätigte den Vorfall am 24. Oktober in einer Ad-hoc-Mitteilung. Nach bisherigen Erkenntnissen sei der Angriff auf die Systeme der Tochtergesellschaft begrenzt gewesen. Für einen Datenabfluss aus den Systemen anderer Konzerngesellschaften gebe es derzeit keine Hinweise. Die Untersuchung des Vorfalls dauert an.
Nach Angaben von Secra könnten die entwendeten Informationen Namen, E-Mail-Adressen, Telefonnummern, Postanschriften, Geburtsdaten und Staatsangehörigkeiten umfassen. In einzelnen Fällen seien auch Bankverbindungen mit IBAN und BIC, Kontonummern sowie Ausweisnummern möglicherweise betroffen.
Hinzu kommen Angaben, die Reisende im Zusammenhang mit ihrer Buchung hinterlegt haben, beispielsweise Informationen zur Barrierefreiheit. Für Vermieter ist außerdem von Bedeutung, dass Zugangscodes für Schlüsselsafes, Tresore oder elektronische Schlösser unter den entwendeten Daten sein könnten.
Welche dieser Informationen bei welchen Personen tatsächlich abgeflossen sind, konnte Secra zunächst nicht abschließend bestimmen. Nach Unternehmensangaben gab es bis zum Sicherheitsupdate vom 26. Oktober keine Hinweise auf eine missbräuchliche Verwendung oder einen Verkauf der Daten.
Besonders deutlich werden die Auswirkungen in Schleswig-Holstein. Nach Angaben des NDR sind unter anderem Gastgeber und Urlauber in Eckernförde sowie in der Lübecker Bucht betroffen.
Die Eckernförde Touristik & Marketing Agentur geht davon aus, dass allein in der Region möglicherweise Zehntausende Menschen betroffen sein könnten. Dabei handelt es sich um eine Schätzung, nicht um eine bestätigte Zahl tatsächlich geschädigter Personen.
Auch der Ferienhausvermittler Kraushaar ist betroffen. Das Unternehmen vermittelt Unterkünfte unter anderem in der Lübecker Bucht, der Holsteinischen Schweiz und an der Kieler Bucht. Daraus lässt sich allerdings nicht ableiten, dass sämtliche Buchungen in diesen Regionen betroffen sind.
Weitere Hinweise betreffen Buchungen über Mittelholstein-Tourismus. Das IT-Fachblog Borncity dokumentierte entsprechende Benachrichtigungen an Reisende. Eine unabhängige Bestätigung des konkreten Umfangs lag zunächst nicht vor.
Nach einer von Borncity veröffentlichten Stellungnahme von ferienwohnungen.de können zudem Buchungen betroffen sein, wenn die jeweilige Unterkunft über Secra verwaltet wurde. Die eigenen Systeme von ferienwohnungen.de und Holidu seien dagegen nicht angegriffen worden.
Die schleswig-holsteinische Landesdatenschutzbeauftragte warnt vor möglichen Phishing-Versuchen mit den abgeflossenen Informationen. Unbefugte könnten echte Buchungsdaten nutzen, um Nachrichten besonders glaubwürdig erscheinen zu lassen.
Beispielsweise könnten Urlauber eine E-Mail erhalten, in der ihre tatsächlich gebuchte Ferienwohnung genannt wird. Unter einem Vorwand könnten sie dann aufgefordert werden, zusätzliche Zahlungsinformationen anzugeben oder einen Link zu öffnen.
Die Datenschutzbeauftragte empfiehlt, in den kommenden Wochen und Monaten E-Mails, Briefe und Zahlungsaufforderungen besonders sorgfältig zu kontrollieren. Auch die Tourismus-Agentur Schleswig-Holstein fordert eine Aufklärung des Vorfalls. Betroffene Tourismusorganisationen prüften bereits ihre Datenbestände und informierten ihre Gäste.
Secra empfiehlt Reisenden, ungewöhnliche Nachrichten nicht ungeprüft zu beantworten. Insbesondere zusätzliche Zahlungsaufforderungen sollten mit der ursprünglichen Buchungsbestätigung verglichen werden. Kreditkartendaten sollten nicht über WhatsApp, SMS oder private E-Mails übermittelt werden.
Bei verdächtigen Links oder Dateianhängen ist Vorsicht geboten. Wer Zweifel an einer Nachricht hat, sollte die Unterkunft über eine bereits bekannte Telefonnummer oder einen offiziellen Kontaktweg erreichen.
Besonders wichtig ist die regelmäßige Kontrolle von Kontoauszügen. Werden unberechtigte Abbuchungen festgestellt, sollte die Bank unverzüglich informiert werden. Die Verbraucherzentralen weisen darauf hin, dass unberechtigte SEPA-Lastschriften zurückgegeben werden können. Bei wiederholtem Missbrauch lassen sich außerdem bestimmte Lastschrifteinzüge sperren.
Für Eigentümer und Betreiber von Ferienunterkünften hat der Vorfall zusätzliche Konsequenzen. Secra hat seine Partner angewiesen, PINs elektronischer Türschlösser und Kombinationen von Schlüsselsafes bei betroffenen Objekten schnellstmöglich auszutauschen.
Reisende mit einer bevorstehenden Anreise sollten ihre Zugangsdaten deshalb direkt mit dem Vermieter abstimmen. Bereits vereinbarte Codes könnten aus Sicherheitsgründen nicht mehr gültig sein.
Secra sieht nach eigenen Angaben wegen des Angriffs keinen grundsätzlichen Anlass, bestehende Buchungen zu stornieren. Für mögliche Stornierungen bleiben die jeweiligen Vertragspartner und deren Bedingungen maßgeblich.
Offen ist weiterhin, wie viele Buchungsdatensätze insgesamt entwendet wurden und welche Auswirkungen der Angriff langfristig haben wird. Die technische Untersuchung läuft weiter.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu